تشترك UK GDPR وEU GDPR في الجذور التنظيمية نفسها، لكنهما أصبحتا إطارين قانونيين مستقلين بعد خروج المملكة المتحدة من الاتحاد الأوروبي. تعمل UK GDPR إلى جانب قانون Data Protection Act 2018 (DPA 2018) وتشريعات الخصوصية الأخرى في المملكة المتحدة. كما أدخل قانون Data (Use and Access) Act 2025 (DUAA) تعديلات إضافية على إطار حماية البيانات في المملكة المتحدة، وقد دخلت جميع أحكامه ذات الصلة بحماية البيانات حيز النفاذ. للمؤسسات العاملة في المملكة المتحدة والاتحاد الأوروبي، يعدّ فهم مواضع التوافق بين الإطارين ومواضع افتراقهما أمرًا أساسيًا للحفاظ على امتثال فعال للخصوصية. يقارن هذا الدليل بين متطلبات UK GDPR وEU GDPR من حيث النطاق الإقليمي، والممثلين، ومسؤولي حماية البيانات، والنقل الدولي للبيانات، وبيانات الأطفال، واتخاذ القرار الآلي، والإنفاذ، وحقوق الأفراد.
جنبًا إلى جنب: UK GDPR مقابل EU GDPR
| البُعد | 🇬🇧 UK GDPR | 🇪🇺 EU GDPR |
|---|---|---|
| الإطار الأساسي | UK GDPR + DPA 2018 + التعديلات المنطبقة | Regulation (EU) 2016/679 |
| الإطار الحالي في المملكة المتحدة | UK GDPR بصيغتها المعدلة، بما فيها التغييرات بموجب DUAA 2025 | EU GDPR |
| الجهة التنظيمية الرئيسية | Information Commissioner's Office (ICO) | السلطات الإشرافية الوطنية بتنسيق من EDPB |
| تاريخ السريان | تسري UK GDPR اعتبارًا من 1 يناير 2021 | 25 مايو 2018 |
| الحد الأقصى للغرامة | حتى 17.5 مليون جنيه إسترليني أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى | حتى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى |
| مسؤول حماية البيانات | مطلوب في الحالات التي يحددها إطار UK GDPR/DPA | مطلوب في الحالات التي تحددها المادة 37 |
| ممثل المملكة المتحدة | قد يكون مطلوبًا لبعض المؤسسات خارج المملكة المتحدة | لا ينطبق بموجب EU GDPR |
| ممثل الاتحاد الأوروبي | قد يكون مطلوبًا لبعض المؤسسات خارج الاتحاد الأوروبي | قد يكون مطلوبًا بموجب المادة 27 |
| النقل الدولي للبيانات | لوائح الكفاية البريطانية وUK IDTA وUK Addendum وBCRs وآليات أخرى | قرارات الكفاية الأوروبية وEU SCCs وBCRs وغيرها من آليات الفصل الخامس |
| الإخطار بخرق البيانات | 72 ساعة عمومًا متى كان إخطار ICO مطلوبًا | 72 ساعة عمومًا متى كان إخطار السلطة الإشرافية مطلوبًا |
| نقل البيانات (قابلية النقل) | نعم | نعم |
| حماية الأطفال على الإنترنت | متطلبات خاصة بالمملكة المتحدة، منها أحكام DUAA بشأن الحماية المعززة للأطفال | ضمانات GDPR إضافة إلى المتطلبات الوطنية والأوروبية |
| ملفات تعريف الارتباط / التسويق الإلكتروني | PECR | توجيه ePrivacy بصيغته المطبقة وطنيًا |
| اتخاذ القرار الآلي | إطار خاص بالمملكة المتحدة عدّله DUAA | المادة 22 من GDPR |
| البنية التنظيمية | سلطة إشرافية واحدة في المملكة المتحدة | سلطات إشرافية وطنية متعددة + EDPB |
| العلاقة بعد Brexit | نظام قانوني بريطاني مستقل | نظام قانوني أوروبي مستقل |
ما هي UK GDPR؟
UK GDPR هي إطار حماية البيانات في المملكة المتحدة بعد Brexit.
تستند استنادًا وثيقًا إلى EU GDPR، لكنها تعمل كجزء من القانون الداخلي البريطاني وتُقرأ مع قانون Data Protection Act 2018، ولوائح Privacy and Electronic Communications Regulations (PECR)، وقانون Data (Use and Access) Act 2025، وغيرها من التشريعات البريطانية المنطبقة والمتطلبات القطاعية.
يعدّل DUAA 2025 كلًّا من UK GDPR وDPA 2018 ولا يحل محلهما. وتؤكد ICO أن أحكام حماية البيانات التي استحدثها DUAA نافذة الآن.
تواصل UK GDPR تنظيم مجالات منها:
- معالجة البيانات الشخصية
- إشعارات الخصوصية
- الأسس القانونية
- حقوق الأفراد
- أمن البيانات
- حماية البيانات بالتصميم
- النقل الدولي للبيانات
- المساءلة
- العلاقات بين المتحكمين في البيانات ومعالجيها
ما هي EU GDPR؟
اللائحة العامة لحماية البيانات (GDPR) هي الإطار الشامل لحماية البيانات في الاتحاد الأوروبي.
تسري في جميع الدول الأعضاء في الاتحاد الأوروبي، وقد تنطبق كذلك على مؤسسات خارج الاتحاد متى استوفيت الشروط الإقليمية الواردة في المادة 3.
تضع EU GDPR متطلبات تشمل:
- المشروعية والإنصاف والشفافية
- تقييد الغرض
- تقليل البيانات إلى الحد الأدنى
- الدقة
- تقييد مدة التخزين
- السلامة والسرية
- المساءلة
- حقوق الأفراد
- النقل الدولي للبيانات
تتولى السلطات الإشرافية الوطنية إنفاذ GDPR، بينما يكفل المجلس الأوروبي لحماية البيانات (EDPB) الاتساق والتنسيق على مستوى الاتحاد الأوروبي.
UK GDPR مقابل EU GDPR: أبرز الفروق
1. إطاران قانونيان مستقلان
قبل Brexit، كانت المملكة المتحدة تخضع لـ EU GDPR بصفتها دولة عضوًا في الاتحاد الأوروبي.
UK GDPR
منذ 1 يناير 2021، تعمل المملكة المتحدة بنسختها الخاصة من GDPR، وهي UK GDPR.
يستطيع البرلمان البريطاني تعديل UK GDPR على نحو مستقل.
EU GDPR
ومع أن الإطارين ما زالا متوافقين إلى حد كبير، فقد صار بإمكان كل منهما أن يتطور بمعزل عن الآخر.
تستطيع مؤسسات الاتحاد الأوروبي تعديل EU GDPR أو استكمالها عبر التشريعات الأوروبية والسوابق القضائية.
الخلاصة الرئيسية: لا ينبغي للمؤسسات أن تفترض أن الامتثال لأحد الإطارين يضمن تلقائيًا الامتثال للآخر.
2. سلطات حماية البيانات
UK GDPR
Information Commissioner's Office (ICO) هو الجهة التنظيمية الرئيسية لحماية البيانات في المملكة المتحدة.
يحقق في الشكاوى، ويصدر الإرشادات التنظيمية، ويمكنه اتخاذ إجراءات إنفاذ بحق المؤسسات الخاضعة لقانون حماية البيانات البريطاني.
EU GDPR
تعمل EU GDPR عبر سلطات إشرافية وطنية في كل دولة عضو في الاتحاد الأوروبي.
يدعم EDPB التعاون والاتساق وتسوية النزاعات بين السلطات الإشرافية.
الفرق العملي: قد تتعامل المؤسسة متعددة الجنسيات مع ICO في المملكة المتحدة، ومع سلطة إشرافية أوروبية واحدة أو أكثر بحسب مقر منشأتها وأنشطة المعالجة لديها وآلية الشباك الواحد في GDPR.
3. الحد الأقصى للغرامات الإدارية
UK GDPR
في المخالفات الجسيمة، قد تصل الغرامات بموجب UK GDPR إلى 17.5 مليون جنيه إسترليني أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى.
EU GDPR
في مخالفات جسيمة محددة، قد تصل الغرامات بموجب EU GDPR إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى.
الحد الأقصى المحسوب بالنسبة المئوية متوافق إذن إلى حد كبير، بينما تختلف المبالغ النقدية الثابتة.
4. الممثلون بموجب المادة 27
أوجد Brexit فرقًا مهمًا للمؤسسات الدولية.
ممثل المملكة المتحدة
قد تحتاج المؤسسة غير البريطانية إلى تعيين ممثل المملكة المتحدة متى استوفيت شروط أحكام الممثل في UK GDPR.
ممثل الاتحاد الأوروبي
وعلى نحو مماثل، قد تحتاج المؤسسة غير الأوروبية إلى تعيين ممثل الاتحاد الأوروبي بموجب المادة 27 من GDPR متى انطبقت الشروط ذات الصلة.
هل تحتاج المؤسسات إلى الاثنين معًا؟ ربما نعم. فالشركة المنشأة خارج المملكة المتحدة والاتحاد الأوروبي كليهما، والتي تستوفي على نحو مستقل شروط النطاق الإقليمي لكل من الإطارين، قد تحتاج إلى ممثل الاتحاد الأوروبي وممثل المملكة المتحدة. وينبغي تقييم التزامات التمثيل على حدة بموجب قانون كل ولاية قضائية.
5. النقل الدولي للبيانات
النقل الدولي للبيانات من المجالات التي افترقت فيها متطلبات الامتثال البريطانية والأوروبية.
UK GDPR
يمكن للمؤسسات البريطانية استخدام آليات منها:
- لوائح الكفاية البريطانية
- الاتفاقية البريطانية للنقل الدولي للبيانات (IDTA)
- الملحق البريطاني للبنود التعاقدية النموذجية الأوروبية (UK Addendum)
- القواعد المؤسسية الملزمة
- آليات نقل أخرى مسموح بها
للمملكة المتحدة إطارها الخاص للكفاية وتقييمات النقل. وتؤكد إرشادات ICO الحالية أن قواعد النقل الدولي البريطانية تعمل باستقلال عن نظام النقل الأوروبي.
EU GDPR
يمكن للمؤسسات الأوروبية الاستناد إلى آليات منها:
- قرارات الكفاية الأوروبية
- البنود التعاقدية النموذجية الأوروبية
- القواعد المؤسسية الملزمة
- الاستثناءات المنطبقة
النقل بين المملكة المتحدة والاتحاد الأوروبي: لدى الطرفين ترتيبات تدعم تدفق البيانات الشخصية بين الولايتين القضائيتين. غير أنه ينبغي للمؤسسات متابعة وضع تلك الترتيبات والاحتفاظ بوثائق النقل، لا افتراض أن تدفق البيانات بين المملكة المتحدة والاتحاد الأوروبي غير مقيّد على الدوام.
6. مسؤولو حماية البيانات
UK GDPR
تُبقي UK GDPR على إطار DPO المستمد من المادة 37 من GDPR، إلى جانب متطلبات تشريعية خاصة بالمملكة المتحدة. ويُشترط تعيين DPO في حالات محددة، منها بعض:
- المعالجة التي تجريها السلطات العامة
- الرصد المنتظم والمنهجي واسع النطاق
- المعالجة واسعة النطاق للفئات الخاصة من البيانات الشخصية
EU GDPR
تتضمن EU GDPR متطلبات مماثلة في جوهرها بموجب المادة 37.
الخلاصة الرئيسية: ما زالت متطلبات DPO في المملكة المتحدة والاتحاد الأوروبي متوافقة إلى حد كبير، لكن ينبغي للمؤسسات تقييم كل ولاية قضائية على حدة.
7. اتخاذ القرار الآلي
اتخاذ القرار الآلي مجال يتطور فيه القانونان البريطاني والأوروبي على نحو مختلف.
UK GDPR
أدخل قانون Data (Use and Access) Act 2025 تغييرات على الإطار البريطاني لاتخاذ القرار الآلي المحض.
يجيز الإطار الجديد بعض القرارات المهمة المستندة حصرًا إلى المعالجة الآلية متى استوفيت ضمانات وشروط محددة.
تشير ICO إلى أن DUAA أدخل تغييرات تتعلق باتخاذ القرار الآلي والضمانات المرتبطة به.
EU GDPR
تنص المادة 22 من EU GDPR على حماية خاصة بشأن القرارات المستندة حصرًا إلى المعالجة الآلية والتي تُنتج آثارًا قانونية أو آثارًا مماثلة في أهميتها.
وعلى المؤسسات كذلك مراعاة التشريعات الأوروبية الأخرى المنطبقة، ومنها EU AI Act، متى تعلق الأمر بأنظمة ذكاء اصطناعي.
الخلاصة الرئيسية: لم يعد من الصحيح التعامل مع النظامين على أن قواعدهما لاتخاذ القرار الآلي متطابقة.
8. بيانات الأطفال
UK GDPR
لدى المملكة المتحدة متطلبات خاصة تتعلق بالأطفال والخدمات الإلكترونية.
استحدث DUAA واجبًا يتعلق بمسائل الحماية المعززة للأطفال، يُلزم المؤسسات بمراعاة احتياجات الأطفال عند تطبيق تدابير حماية البيانات في الخدمات الإلكترونية ذات الصلة.
كما يبقى Age Appropriate Design Code الصادر عن ICO مرجعًا مهمًا للامتثال في المملكة المتحدة للخدمات الإلكترونية التي يُرجَّح أن يستخدمها الأطفال.
EU GDPR
تتضمن EU GDPR حماية خاصة للأطفال.
في بعض خدمات مجتمع المعلومات المعروضة مباشرةً على الأطفال، تحدد المادة 8 سنًّا افتراضية هي 16 عامًا للمعالجة القائمة على الموافقة، مع جواز أن تخفضها الدول الأعضاء في الاتحاد الأوروبي إلى ما لا يقل عن 13 عامًا.
قد تنشئ الدول الأعضاء والتطورات التنظيمية على مستوى الاتحاد الأوروبي متطلبات إضافية.
الخلاصة الرئيسية: يتطلب الامتثال لخصوصية الأطفال تقييمين منفصلين للمملكة المتحدة والاتحاد الأوروبي.
9. ملفات تعريف الارتباط والتسويق الإلكتروني
UK GDPR
تحكم لوائح Privacy and Electronic Communications Regulations (PECR) في المملكة المتحدة مجالات منها:
- ملفات تعريف الارتباط والتقنيات المماثلة
- التسويق الإلكتروني
- رسائل التسويق المباشر
- بيانات حركة الاتصالات والموقع
أدخل DUAA تغييرات تجيز استخدام بعض ملفات تعريف الارتباط منخفضة التدخل دون موافقة متى استوفيت الشروط القانونية.
EU GDPR
يبقى توجيه ePrivacy الأوروبي، بصيغته المطبقة عبر قوانين الدول الأعضاء، الإطار الرئيسي الذي يحكم ملفات تعريف الارتباط والاتصالات الإلكترونية إلى جانب GDPR.
لذا قد تختلف البيئة التنظيمية من دولة عضو إلى أخرى في الاتحاد الأوروبي.
الخلاصة الرئيسية: لا ينبغي تعميم آلية موافقة على ملفات تعريف الارتباط مصممة للمملكة المتحدة على جميع الأسواق الأوروبية تلقائيًا دون مراجعة خاصة بكل ولاية قضائية.
10. إشعارات الخصوصية والشفافية
تبقى مبادئ الشفافية الأساسية متشابهة إلى حد كبير. ويُلزم الإطاران المؤسسات عمومًا ببيان:
UK GDPR
- من يعالج البيانات
- سبب معالجة البيانات
- فئات البيانات الشخصية
- الأساس القانوني
- الجهات المتلقية
EU GDPR
- مدة الاحتفاظ
- النقل الدولي للبيانات
- حقوق الأفراد
- آليات تقديم الشكاوى
- اتخاذ القرار الآلي عند الاقتضاء
ينبغي للمؤسسات العاملة في المملكة المتحدة والاتحاد الأوروبي أن تحتفظ بالقدرة على تحديث إشعاراتها عند افتراق القانونين البريطاني والأوروبي. وقد أدخل DUAA كذلك تغييرات محددة على متطلبات الشفافية في بعض المعالجات لأغراض البحث والأرشفة والإحصاء.
11. حقوق الأفراد
تواصل UK GDPR وEU GDPR كفالة حقوق متشابهة إلى حد كبير للأفراد، منها:
UK GDPR
- الحق في الوصول
- الحق في التصحيح
- الحق في المحو
- الحق في تقييد المعالجة
EU GDPR
- الحق في نقل البيانات
- الحق في الاعتراض
- الحق في سحب الموافقة
- الحقوق المتعلقة ببعض حالات اتخاذ القرار الآلي
غير أن التعديلات التي تُدخلها التشريعات البريطانية قد تنشئ فروقًا بمرور الوقت. لذا ينبغي للمؤسسات التي تدير البرنامجين أن تحتفظ بمسارات عمل للحقوق خاصة بكل ولاية قضائية.
12. حماية البيانات بالتصميم
UK GDPR
يُلزم إطارا UK GDPR وEU GDPR المؤسسات بتطبيق حماية البيانات بالتصميم وبشكل افتراضي.
وقد أضاف الإطار البريطاني الآن اعتبارات إضافية لحماية الأطفال عبر DUAA.
EU GDPR
ويعني ذلك وجوب مراعاة الخصوصية والأمن طوال دورة حياة نشاط المعالجة، لا إضافتهما بعد التشغيل.
13. الإخطار بخرق البيانات
UK GDPR
على المتحكم في البيانات عمومًا إخطار ICO بخرق البيانات الشخصية المستوفي للشروط دون تأخير غير مبرر، وخلال 72 ساعة من علمه بالخرق متى أمكن ذلك.
إذا كان من المرجح أن ينطوي الخرق على مخاطر عالية على الأفراد، فقد يلزم كذلك إخطار الأفراد المتضررين.
EU GDPR
تعتمد EU GDPR الإطار الأساسي نفسه بموجب المادة 33: دون تأخير غير مبرر، وخلال 72 ساعة من العلم بالخرق المستوفي للشروط متى أمكن ذلك.
الخلاصة الرئيسية: يبقى الإطار الأساسي للإخطار بخرق البيانات متوافقًا إلى حد كبير، لكن على المؤسسات تحديد الجهة التنظيمية والمتطلبات الخاصة بالولاية القضائية المنطبقة.
14. تقييمات أثر حماية البيانات
يُبقي الإطاران على مفهوم تقييم أثر حماية البيانات (DPIA). ويُشترط إجراء DPIA عمومًا متى كان من المرجح أن تنطوي المعالجة على مخاطر عالية على حقوق الأفراد وحرياتهم.
UK GDPR
ومن الأمثلة:
- الرصد واسع النطاق
- المعالجة واسعة النطاق للبيانات الحساسة
- التنميط
- بعض أنظمة الذكاء الاصطناعي
- التقنيات المبتكرة التي تنطوي على مخاطر كبيرة على الخصوصية
EU GDPR
ينبغي أن يحدد التقييم:
- أنشطة المعالجة
- الضرورة والتناسب
- المخاطر
- تدابير التخفيف
- المخاطر المتبقية
- مسؤوليات الحوكمة
15. الفئات الخاصة من البيانات
يُبقي الإطاران على حماية معززة للفئات الخاصة من البيانات.
UK GDPR
ومن الأمثلة:
- المعلومات الصحية
- البيانات الجينية
- البيانات البيومترية المستخدمة لتحديد الهوية
- الأصل العرقي أو الإثني
- الآراء السياسية
- المعتقدات الدينية أو الفلسفية
- العضوية النقابية
- الحياة الجنسية أو التوجه الجنسي
EU GDPR
يتضمن القانون البريطاني شروطًا وإعفاءات قانونية إضافية خاصة بالمملكة المتحدة بموجب DPA 2018.
لذا ينبغي للمؤسسات مراجعة شروط Schedule 1 الخاصة بالمملكة المتحدة عند الاقتضاء، بدلًا من عدّ الامتثال للمادة 9 كافيًا تلقائيًا.
16. البحث والأرشفة والإحصاء
UK GDPR
أدخلت المملكة المتحدة عبر DUAA تعديلات خاصة تمس المعالجة لأغراض البحث والأرشفة والإحصاء.
يوضح القانون بعض المفاهيم المتصلة بالبحث ويتيح مرونة إضافية مع الإبقاء على الضمانات.
تؤكد ICO أن DUAA يتضمن تغييرات تتعلق بالبحث العلمي، ومنه البحث العلمي التجاري، ويوضح بعض الأحكام الخاصة بالبحث.
EU GDPR
تتضمن EU GDPR كذلك أحكامًا تدعم أغراض البحث العلمي أو التاريخي والأغراض الإحصائية، لكن الإطارين التشريعيين ليسا متطابقين.
UK GDPR مقابل EU GDPR: هل أحدهما أكثر صرامة؟
ليس دقيقًا وصف أحد الإطارين بأنه أكثر صرامة على الإطلاق.
يبقى الإطاران متوافقين إلى حد كبير في المجالات الأساسية مثل:
- مبادئ حماية البيانات
- الأسس القانونية
- حقوق الأفراد
- المساءلة
- الأمن
- تقييمات DPIA
- متطلبات DPO
- الإخطار بخرق البيانات
غير أن الفروق تزداد أهمية في مجالات منها:
- اتخاذ القرار الآلي
- حماية الأطفال
- النقل الدولي للبيانات
- ملفات تعريف الارتباط والاتصالات الإلكترونية
- البحث
- الإنفاذ التنظيمي
- التعديلات الخاصة بالمملكة المتحدة بموجب DUAA
للمؤسسات الدولية، أفضل نهج هو الحفاظ على إطار ضوابط مشترك لـ GDPR مع طبقات خاصة بالمملكة المتحدة وأخرى خاصة بالاتحاد الأوروبي.
هل يمكن لبرنامج واحد أن يغطي UK GDPR وEU GDPR؟
نعم. يمكن لإطار مشترك لإدارة الخصوصية أن يحد كثيرًا من ازدواجية أعمال الامتثال. غير أنه ينبغي للمؤسسات الاحتفاظ بضوابط خاصة بكل ولاية قضائية في المجالات التي يختلف فيها القانونان البريطاني والأوروبي.
1. جرد مركزي للبيانات
احتفظ بسجل جرد عالمي واحد يشمل:
- البيانات الشخصية
- أغراض المعالجة
- أصحاب البيانات
- المتحكمين في البيانات
- معالجي البيانات
- الجهات المتلقية
- مواقع التخزين
- مدة الاحتفاظ
- عمليات النقل الدولي
2. إدارة موحدة للحقوق
ينبغي أن يحدد سير العمل ما إذا كان الطلب يندرج تحت UK GDPR أو EU GDPR أو كليهما.
يمكن لسير عمل مركزي لطلبات DSAR أن يدير:
- طلبات الوصول
- التصحيح
- المحو
- تقييد المعالجة
- نقل البيانات
- الاعتراضات
- الحقوق المتعلقة بالقرارات الآلية
3. إدارة النقل
استخدم آلية النقل المناسبة لكل ولاية قضائية.
احتفظ بسجلات نقل منفصلة لـ:
- عمليات النقل الدولي من المملكة المتحدة
- عمليات النقل الدولي من الاتحاد الأوروبي
- عمليات النقل بين المملكة المتحدة والاتحاد الأوروبي
- عمليات النقل إلى دول ثالثة
4. إدارة إشعارات الخصوصية
يمكن في كثير من الأحيان استخدام إشعار خصوصية أساسي مشترك، لكن ينبغي للمؤسسات الاحتفاظ بأقسام خاصة بالمملكة المتحدة وأخرى خاصة بالاتحاد الأوروبي حيثما اختلفت المتطلبات.
5. الامتثال في ملفات تعريف الارتباط والتسويق
احتفظ بمنطق امتثال منفصل لـ:
- UK PECR
- متطلبات ePrivacy الأوروبية
- GDPR / UK GDPR
- تفضيلات الموافقة
- أذونات التسويق
6. الاستجابة لخرق البيانات
ينبغي أن يتضمن الإجراء الموحد للاستجابة للحوادث مسارات تصعيد خاصة بكل ولاية قضائية. وعلى المؤسسة أن تحدد:
- الجهة التنظيمية الواجب إخطارها
- المهلة المنطبقة
- ما إذا كان يجب إخطار الأفراد المتضررين
- الإخطارات التعاقدية المنطبقة
- الأدلة الواجب الاحتفاظ بها
7. الرصد التنظيمي
ينبغي رصد متطلبات الخصوصية البريطانية والأوروبية كلٌّ على حدة.
وتزداد أهمية ذلك لأن المملكة المتحدة تستطيع تعديل إطارها بمعزل عن التطورات التشريعية الأوروبية.
الأسئلة الشائعة
هل UK GDPR هي نفسها EU GDPR؟
لا. تشتركان في الأساس التنظيمي نفسه وما زالتا متشابهتين إلى حد كبير، لكنهما إطاران قانونيان مستقلان قد يتطور كل منهما بمعزل عن الآخر.
هل عليّ الامتثال لـ UK GDPR وEU GDPR معًا؟
ربما. قد تحتاج المؤسسة إلى الامتثال لـ UK GDPR في أنشطة المعالجة المتصلة بالمملكة المتحدة، ولـ EU GDPR متى وقعت أنشطتها ضمن النطاق الإقليمي لها.
هل أحتاج إلى ممثل المملكة المتحدة وممثل الاتحاد الأوروبي معًا؟
ربما. إذا كانت المؤسسة منشأة خارج الولايتين القضائيتين واستوفت شروط المادة 27 الخاصة بكل من المملكة المتحدة والاتحاد الأوروبي، فقد تحتاج إلى ممثل مستقل لكل ولاية قضائية.
هل UK GDPR أكثر صرامة من EU GDPR؟
ليس على الإطلاق. ما زال الإطاران متوافقين توافقًا وثيقًا، لكن لكل منهما متطلبات خاصة بولايته القضائية، وقد يفترقان بمرور الوقت.
هل ما زالت UK GDPR تشترط الإخطار بخرق البيانات خلال 72 ساعة؟
نعم. في خروقات البيانات الشخصية المستوفية للشروط، على المتحكم في البيانات عمومًا إخطار ICO دون تأخير غير مبرر، وخلال 72 ساعة من علمه بالخرق متى أمكن ذلك.
هل ما زالت UK GDPR تشترط تعيين DPO؟
نعم، متى استوفيت الشروط القانونية المنطبقة لتعيين DPO. وليس صحيحًا القول إن المؤسسات البريطانية تتمتع بإعفاء عام من متطلبات DPO المماثلة لما في المادة 37.
هل لدى المملكة المتحدة قرار كفاية على النمط الأوروبي؟
اعتمد الاتحاد الأوروبي قرار كفاية بشأن المملكة المتحدة يجيز نقل البيانات الشخصية المستوفية للشروط من الاتحاد الأوروبي إلى المملكة المتحدة ضمن ذلك الإطار. وينبغي للمؤسسات متابعة سريان القرار وشروطه الحالية، لا الاعتماد على تواريخ انتهاء قديمة.
هل يمكننا استخدام سياسة الخصوصية نفسها لعملاء المملكة المتحدة والاتحاد الأوروبي؟
نعم في كثير من الأحيان. يمكن لإشعار خصوصية مشترك أن يغطي الفئتين، على أن يراعي الفروق في السلطات التنظيمية والممثلين والنقل الدولي للبيانات وملفات تعريف الارتباط وخصوصية الأطفال والمتطلبات القانونية الخاصة بالمملكة المتحدة.
هل أوجد Brexit برنامجين للامتثال لـ GDPR؟
ليس بالضرورة. يمكن للمؤسسات تشغيل برنامج خصوصية موحد مع طبقتي امتثال منفصلتين للمملكة المتحدة والاتحاد الأوروبي.
ما الذي تغيّر بموجب قانون Data (Use and Access) Act 2025؟
عدّل DUAA كلًّا من UK GDPR وDPA 2018 في عدة مجالات، منها اتخاذ القرار الآلي، والبحث العلمي، وحماية الأطفال، وإجراءات الشكاوى، وإشعارات الخصوصية، والصلاحيات التنظيمية، ومبادرات الهوية الرقمية والبيانات الذكية. وتؤكد ICO أن جميع أحكام حماية البيانات ذات الصلة نافذة الآن.
الامتثال لـ UK GDPR وEU GDPR مع RegulatoryBridge
إدارة الامتثال للخصوصية في المملكة المتحدة والاتحاد الأوروبي عبر أنظمة منفصلة تمامًا قد تؤدي إلى ازدواجية لا داعي لها.
تساعد RegulatoryBridge المؤسسات على بناء برنامج خصوصية منسق واحد يغطي UK GDPR وEU GDPR وغيرهما من أطر الخصوصية العالمية.
قد يشمل دعمنا:
- تقييمات الامتثال لـ UK GDPR
- تقييمات الامتثال لـ EU GDPR
- دعم الممثل بموجب المادة 27 في المملكة المتحدة والاتحاد الأوروبي
- رسم خرائط البيانات وجردها
- مراجعة إشعارات الخصوصية
- إدارة طلبات DSAR
- حوكمة DPO
- دعم DPIA
- تقييمات النقل الدولي للبيانات
- تقييم IDTA / SCC
- الامتثال في ملفات تعريف الارتباط والموافقة
- تقييمات الموردين ومعالجي البيانات
- التخطيط للاستجابة لخرق البيانات
- الرصد التنظيمي
- حوكمة الخصوصية عبر الحدود
- الإدارة المستمرة للامتثال
غطِّ UK GDPR وEU GDPR ضمن برنامج واحد.
خطّط الضوابط مرة واحدة، والتزم مرتين. يمنحك RegulatoryBridge مسار DSAR واحدًا، ومسؤول حماية بيانات (DPO) واحدًا، ودليل إجراءات واحدًا للخروقات - يغطي كلا الإطارين.